Käytätkö tekoälyä tarjoustyössä? Tämä sinun kannattaa tietää datastasi

Tekoäly on tullut monelle luonteva osa tarjoustyötä. Mutta kun lataat palveluun aiemman tarjouksen, jossa on hintalaskelmia ja liiketoiminnan kannalta arkaluonteisia prosessikuvauksia, on kohtuullista kysyä: minne data oikeastaan menee? Vastaamme tähän rauhallisesti, kerromme, mitkä säännöt juuri nyt ovat voimassa ja mitä kannattaa tarkistaa ennen kuin luotat työkaluun.

Mitä oikeastaan jaat

Kannattaa erottaa kaksi erilaista asiakirjaa. Hankintayksikön tarjouspyyntö on julkinen, ja sen vieminen työkaluun on harvoin ongelma.

Oma materiaalisi on toinen asia. Hintalaskelmat ja katteet, menetelmät ja prosessikuvaukset, joiden rakentamiseen on mennyt vuosia, sisäiset arviot omasta kapasiteetista, ja yleensä myös henkilötiedot: tarjoamiesi ihmisten nimet, tehtävät ja ansioluettelot.

Kun käytät tekoälytyökalua, lähetät nämä tiedot ulos talosta. Se ei välttämättä ole vaarallista. Mutta kannattaa tietää, minne tiedot päätyvät, kuinka kauan ne säilyvät ja mitä toimittaja saa niillä tehdä.

Kaksi säännöstöä, ei yksi

Tässä on helppo sekoittaa kaksi asiaa, jotka liittyvät toisiinsa mutta eivät ole voimassa samalla tavalla.

Tietosuojasäännöt (GDPR) ovat jo voimassa koko ETA-alueella. Jos työkalu käsittelee henkilötietoja, ne pätevät täysimääräisesti. Asetus jättää tilaa joillekin kansallisille mukautuksille, mutta perusvelvoitteet ovat samat. Se helpottaa arviointia, jos myyt useassa maassa: voit esittää toimittajalle samat kysymykset riippumatta siitä, jätätkö tarjouksen Suomessa, Ruotsissa vai Saksassa.

Tekoälyasetus on jo voimassa. EU:n tekoälyä koskevan säännöstön valvonta alkoi 2. elokuuta 2026, ja samaan aikaan tulivat voimaan uudet avoimuusvaatimukset. Ne koskevat muun muassa sitä, että käyttäjän on saatava tietää, kun hän keskustelee tekoälyn eikä ihmisen kanssa, ja että tekoälyn tuottama sisältö on merkittävä. Raskaimmat vaatimukset, eli niin kutsuttuja suuririskisiä järjestelmiä koskevat, on siirretty 2. joulukuuhun 2027 ja 2. elokuuhun 2028.

Norja, josta kirjoitamme, on poikkeus. Siellä asetusta ei ole vielä sisällytetty ETA-sopimukseen, eikä kansallista lakia ole hyväksytty. Se havainnollistaa asiaa, joka koskee kaikkia: se, mikä säännöstö sinuun osuu, riippuu siitä, missä sinä ja toimittajasi olette.

Kysymykset, jotka kannattaa esittää toimittajalle

Ennen kuin otat työkalun käyttöön, esitä muutama yksinkertainen kysymys. Ne eivät ole teknisiä, eikä vastausten arviointiin tarvita asiantuntijaa.

• Missä data tallennetaan ja käsitellään? ETA-alueella vai muualla? Tallentaminen ETA-alueen ulkopuolelle ei ole sinänsä laitonta, mutta se vaatii oman oikeusperusteensa. Pyydä toimittajaa kertomaan, mikä se on.
• Käytetäänkö dataa mallin kouluttamiseen? Vai pidetäänkö se erillään ja käytetään vain sinua varten? Tämän pitää olla sopimuksessa, ei vain markkinointitekstissä.
• Kenellä on käyttöoikeus, ja kuinka kauan data säilyy? Kysy konkreettisesti poistamisesta ja alihankkijoista.
• Onko olemassa tietojenkäsittelysopimus? Jos toimittaja käsittelee henkilötietoja puolestasi, kirjallinen sopimus on tietosuoja-asetuksen 28 artiklan 3 kohdan mukainen vaatimus. Se ei ole muodollisuus, jonka voi ohittaa.
• Voivatko he dokumentoida tietoturvatyönsä? Esimerkiksi ISO 27001 -sertifioinnilla tai avoimella luettelolla alihankkijoista ja tietoturvatoimista.

Hyvät toimittajat vastaavat näihin selkeästi ja pitävät vastaukset valmiina. Jos vastaukset ovat epämääräisiä tai vaikeasti saatavia, se on itsessään merkki.

Vähän tallentamisesta ETA-alueen ulkopuolelle

Monet tekoälytyökalut ovat yhdysvaltalaisia. Henkilötietojen siirto Yhdysvaltoihin tapahtuu tällä hetkellä pääasiassa EU:n riittävyyspäätöksen, EU-US Data Privacy Frameworkin, nojalla. Se on edelleen voimassa. EU:n yleinen tuomioistuin hylkäsi sitä koskevan kanteen syyskuussa 2025, mutta ratkaisusta on valitettu, ja Euroopan tietosuojaneuvosto pyysi heinäkuussa 2026 komissiota arvioimaan uudelleen, pitääkö peruste.

Arviomme on, ettei tästä tarvitse menettää yöuniaan. Mutta se on hyvä syy tietää, missä toimittajasi seisoo, ja kysyä, mikä suunnitelma on, jos puitteet muuttuvat.

Näin hankkija katsoo asiaa

Tämä ei ole vain sinun kysymyksesi. Julkiset hankkijat saavat nyt melko yksityiskohtaista ohjeistusta samoista asioista. Alla oleva esimerkki on Norjasta, josta kirjoitamme.

DFØ, Norjan julkishallinnon ja talousohjauksen virasto, kirjoittaa tekoälyn käytön turvallisuutta ja tietojen käsittelyä koskevassa ohjeessaan, että organisaatioiden on luokiteltava tiedot ennen niiden syöttämistä tekoälypalveluun. Julkista ja sisäistä tietoa voi monissa tapauksissa käsitellä kaupallisissa pilvipalveluissa, arkaluonteinen tieto vaatii erillisen arvioinnin, eikä turvaluokiteltua tietoa pidä viedä kaupallisiin tekoälypalveluihin lainkaan. Salassapitovelvollisuuden alaiset tiedot kuuluvat samaan luokkaan. Ohjeessa sanotaan myös, että dataa on lähtökohtaisesti käsiteltävä ETA-alueella ja että organisaation on aktiivisesti tarkistettava, että palvelu on todella asetettu niin.

Näin me sen luemme, ja se kannattaa panna merkille myös toimittajana. Pöydän toisella puolella olevaa asiakasta pyydetään käymään läpi täsmälleen samat kysymykset, jotka sinun kannattaa esittää omalle toimittajallesi. Silloin voi olla etu, että vastaukset ovat valmiina ennen kuin kukaan kysyy. Muiden maiden hankkijat toimivat vastaavien periaatteiden mukaan, mutta konkreettinen ohjeistus vaihtelee ja kansalliset käytännöt eroavat toisistaan.

Mitä sinun kannattaa tehdä

• Laadi yksinkertainen sisäinen pelisääntö. Mitä voi viedä mihin työkaluun? On kohtuutonta pyytää yksittäistä tarjouksen kirjoittajaa tekemään tuo arvio yksin joka kerta.
• Tarkista, onko jo käytössä oleville työkaluille tietojenkäsittelysopimus. Usein vastaus on ei, yksinkertaisesti siksi ettei kukaan ole kysynyt.
• Pidä dokumentaatio koossa. Sertifioinnit, menettelyt ja sopimukset kannattaa pitää yhdessä paikassa, valmiina otettavaksi esiin.
• Kysy toimittajalta suoraan. Sinulla on oikeus ymmärrettävään vastaukseen, eikä sinun tarvitse hyväksyä sellaista, joka ei ole sitä.

Lopuksi

Sinun ei tarvitse olla tietoturvan asiantuntija tehdäksesi hyviä valintoja julkisissa hankinnoissa. Riittää, että tiedät, mitkä säännöt ovat voimassa, esität oikeat kysymykset ja valitset työkaluja, jotka vastaavat niihin selkeästi.

Cobriefissä olemme julkaisseet oman dokumentaatiomme avoimesti Trust Centerissä, jotta voit tarkistaa meidät samoista kohdista, joista pyydämme sinua tarkistamaan muita. Ota ihmeessä yhteyttä, jos haluat keskustella siitä, miten tekoälyä voi käyttää tarjoustyössä hyvällä omallatunnolla.